CVE-2026-82282
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Atlantis do wersji 0.47.1 nie uwierzytelnia punktu końcowego /github-app/setup, co pozwala nieuwierzytelnionym atakującym na dostęp do poświadczeń aplikacji GitHub. Atakujący mogą obserwować lub przechwycić przekierowanie GitHub podczas konfiguracji, aby uzyskać prywatny klucz RSA i sekret webhooka, co umożliwia tworzenie tokenów instalacji i fałszowanie ładunków webhook.
Ocena ryzyka
Ryzyko obejmuje pełne przejęcie kontroli nad aplikacją GitHub, co może prowadzić do nieautoryzowanych działań w repozytoriach i naruszenia integralności procesów CI/CD.
Rekomendacja
Zaleca się natychmiastową aktualizację Atlantis do wersji z poprawką oraz wdrożenie uwierzytelniania dla punktu /github-app/setup. Należy również rotować klucze i sekrety, jeśli istnieje podejrzenie kompromitacji.
Inne podatności w Atlantis
Zobacz wszystkie- CVE-2026-116676Wysokie
Atlantis przekazuje wartość workspace z pliku atlantis.yaml, kontrolowaną przez pull request, do argumentów polecenia Terraform, które są łączone przez strings.Join i wykonywane przez sh -c. Uwierzytelniony kontrybutor może umieścić metaznaki powłoki w nazwie workspace, co prowadzi do wykonania dowolnych poleceń w kontekście konta usługi Atlantis. Luka została naprawiona w wersji 0.47.1.
- CVE-2026-64679Wysokie
Atlantis w wersjach od 0.19.8 do 0.45.0 nie waliduje poprawnie wartości workspace dostarczanych przez użytkownika. Może to pozwolić na wyjście poza zamierzony katalog workspace i wykonanie operacji na plikach poza nim, co prowadzi do utraty integralności lub DoS.
Oryginalny opis (angielski, źródło NVD)
Atlantis through 0.47.1 fails to authenticate the /github-app/setup endpoint, allowing unauthenticated attackers to access GitHub App credentials. Attackers can observe or intercept the GitHub redirect during setup to obtain the RSA private key and webhook secret, enabling installation token minting and webhook payload forgery.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS